由Meta案看數位資料商業化面臨之跨國問題
於2023年5月22日愛爾蘭資料保護委員會（Ireland's Data Protection Commission, DPC）對於Facebook的母公司Meta將歐盟境內資料傳輸到美國的行為做出開罰12億歐元的決定，並暫停資料跨境傳輸行為，再次引起了各界對於資料跨境傳輸的關注。
針對跨國提供網路服務的企業，如何確保企業處理資料的方式可以符合多國的法規要求，向來是一困難的問題。自從2015年「安全港隱私準則」（Safe Harbour Privacy Principles）被歐盟法院宣告失效後，美國與歐盟試圖就資料跨境傳輸重新達成一個可符合雙方要求的框架，包含2020年被歐盟法院宣告無效的「隱私盾框架」（EU-US Privacy Shield Framework），而2022年3月雙方達成原則性同意的歐盟美國資料隱私框架（EU-U.S. Data Privacy Framework, DPF），惟就美國於同年10月發布用以實施之行政命令（EO 14086），亦於2023年5月被歐洲議會認為對於歐盟境內資料的保護不足。
2023年6月8日英國跟美國共同發布建立英美資料橋（UK-US data bridge）的聯合聲明，以建立起英美之間的資料流動機制，但該英美資料橋是基於歐盟美國資料隱私框架做進一步的擴展，能否符合歐盟對於資料保護的要求，目前尚無法預期。
目前的商業模式中資料跨境傳輸是難以避免的現實困境，各國亦就資料跨境傳輸建立框架，企業需持續關注自身營業所在地之法規變化，以即時因應調整自身管理機制。
本文同步刊登於TIPS網站（https://www.tips.org.tw/）
- Shiona McCallum, Meta: Facebook owner fined €1.2bn for mishandling data, BBC NEWS, May 28, 2023
- Ana Hadnes Bruder, Oliver Yaros, David A. Simon & Salome Peter, European Parliament Adopts Resolution About the Draft US Adequacy Decision , MAYER BROWN, Jun. 6, 2023
- Jan-Luca Jorzyk* & Amancaya Schmitt, The “Trans-Atlantic Data Privacy Framework” – Finally a Legally Secure Data Transfer to the United States? , Littler, May 17, 2023
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
莊越程
高級法律研究員 編譯整理
Shiona McCallum, Meta: Facebook owner fined €1.2bn for mishandling data, BBC NEWS, May 28, 2023, https://www.bbc.com/news/technology-65669839 (last visited Jun. 19, 2023).
Ana Hadnes Bruder, Oliver Yaros, David A. Simon & Salome Peter, European Parliament Adopts Resolution About the Draft US Adequacy Decision , MAYER BROWN, Jun. 6, 2023, https://www.mayerbrown.com/en/perspectives-events/publications/2023/06/european-parliament-adopts-resolution-about-the-draft-us-adequacy-decision (last visited Jun. 19, 2023).
Jan-Luca Jorzyk* & Amancaya Schmitt, The “Trans-Atlantic Data Privacy Framework” – Finally a Legally Secure Data Transfer to the United States? , Littler, May 17, 2023, https://www.littler.com/publication-press/publication/trans-atlantic-data-privacy-framework-finally-legally-secure-data (last visited Jun. 19, 2023).
科法觀點
瑞典斯德哥爾摩地方法院於2015/11/27針對網路服務提供者（ISP）責任作出判決，有別於過往相關著作侵權訴訟，對象係針對個人或是散布侵權檔案之網站經營者，此次為針對網路服務提供者責任作成的第一筆判決，其結果具有指標性意義。 此次訴訟是由華納、新力、聯合音樂、北歐電影與瑞典電影中心聯合提起，請求法院命一瑞典ISP業者阻斷二個涉及著作權侵害之網站連結。原告等聲稱被告提供網路連接到侵權網站之行為，已構成侵害行為的參與（medverkar），據此請求法院禁止被告繼續此參與侵害行為。然法院未予採納，認為：（一）依歐盟指令（Infosoc-directivet）之要求，若網路中介者之服務受到第三人利用，作為侵害著作權及其鄰接權之用途，各會員國須提供著作權人司法救濟途徑，以對抗中介人。由於瑞典著作權法已提供禁制令（föreläggande）之申請予著作權人，藉此對抗參與侵害行為的幫助犯。可見瑞典著作權法已符合指令之要求。（二）其次，法院認定本案被告係單純提供其顧客網路聯結到侵權網站，不構成瑞典著作權法上之參與侵權行為。因所謂參與必須是客觀上對侵權行為人有幫助行為（如給與建議及諮詢），但本案被告並未與侵權網站有任何契約或特定關係，不能因為少部分之非法使用者利用其網站連結便認定其構成參與侵權行為。故法院認定本案不具備核發禁制令條件，駁回原告等請求。對此，原告擬提出上訴，後續發展有待觀察。
日本發布創新治理報告書，主張強化企業等對法規範形成的實質參與日本經濟產業省於2020年7月13日發布「創新治理：實現Society5.0的法規與結構設計（GOVERNANCE INNOVATION: Society5.0の実現に向けた法とアーキテクチャのリ・デザイン）」報告書。其作成背景係依據日本在去（2019）年G20峰會時，基於大阪框架（大阪トラック、Osaka Track）下的「可資信任的資料自由流通機制（Data Free Flow with Trust（DFFT））願景，所提出的創新治理目標。該目標指出，過往的治理模式主要依靠法律規範，但明顯已追趕不及數位化與創新的快速步伐，致生新型態風險無法獲得有效控管、法律可能阻礙創新等問題，因而有必要革新治理模式，以掃除創新活動的障礙。基此，就上述創新治理模式的必要性與方式，日本召集國內外法律、經濟、科技、經濟等各界專家徵求意見進行討論，彙整後作成本報告書。 本報告書主張，應擺脫法規範的設計、法遵與執行，均由國家主導的傳統模式，建立提高企業參與規範擬定與實施程度的治理型態。具體主要包含以下作法： （1）法規範制定層面：規範之制定方向，改以作成價值決定的目的導向為主。至於細節性的行為義務，包含企業如何在數位化的虛擬場域內，透過程式語言等途徑落實上述法目的，則應由該些企業、以及在虛擬場域活動的社群或個人等利害關係人共同參與擬定相關的指引或標準。 （2）法遵層面：如上（1）所述，未來法規範制定將轉為形塑價值與目的為主，不會明確訂定企業的行為義務，而交由企業來擬訂。企業所制定之行為規範能否達成法規範目的，則須仰賴企業主動揭露其法遵方法，供外界檢視。因此，除企業應採用創新手法達成法目的、並對內落實法遵事項的說明外，應運用各種內外部查核機制來控管風險。同時，應著手研發相關技術或措施，讓利害關係人得取用企業之即時資料，以隨時確認企業所採取方法有無達成法遵，實現有效監督。 （3）執法層面：政府應以企業之行為對社會產生影響的程度，作為執法標準。若遭遇AI參與決策而衍生的事故，不應歸責於個人，而應建立獎勵機制，鼓勵企業積極協助究明事故原因。另一方面，亦應推動訴訟與訴訟外紛爭解決機制的線上化（Online Dispute Resolution, ODR），例如共享經濟平台服務的認證機制與標準、就電商平台上發生的小額消費糾紛由平台透過公告罰則等方式抑止與處理糾紛。
何謂英國金融科技創新計畫( Project Innovate )？為了全力打造英國成為「FinTech 全球領導者地位」，及引領FinTech 國際監管規則的大國，英國金融業務監理局（Financial Conduct Authority, FCA）於2014年10月啟動了金融科技創新計畫（Project Innovate），目的就是能夠追蹤進入金融市場的新興商業模式，其中最重要的建立監理沙盒制度（Regulatory Sandbox），旨在提供企業可以在安全空間內對創新產品、服務、商業模式等進行測試，而不會立即招致參與相關活動的所有監管後果。 金融科技創新計畫增設創新中心（Innovation Hub），為創新企業提供與監管對接等各種支持。 金融科技創新計畫通過促進破壞式創新鼓勵挑戰現有的商業模式，而創新中心主要透過政策與金融科技業者交流，了解是否監管政策能夠更好的支持創新。
從日本山崎案談營業秘密不法取得之管理從日本山崎案[1]談營業秘密不法取得之管理 資策會科技法律研究所 法律研究員 駱玉蓉 105年05月25日 壹、前言 為強化營業秘密的保護，日本從2003年開始，於不正競爭防止法（以下稱本法）中導入刑事保護的相關條文，爾後經過多次修法，在2011年調整刑事訴訟程序的同時，於本法導入了即使行為者不使用或揭露所示的營業秘密，但只要以獲取不當利益為目的，且「以複製」等方式「取得營業秘密」，亦為刑事處罰的對象[2]。2014年名古屋地院的日本山崎Mazak案件（ヤマザキマザック事件，以下稱本案）則是在此修法背景中，於少數公開判決中最先單獨引用該法條的案件。 面對層出不窮的營業秘密侵害案件，為遏止及處罰不法取得、使用或洩漏他人營業秘密的行為，我國營業秘密法亦於2013年的修法中增訂侵害營業秘密的刑事責任，將「知悉或持有營業秘密，未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密」的行為[3]納入刑罰範疇，以期可有效遏阻營業秘密侵害案件。 有鑒於營業秘密外洩情形與不法取得手法的多變，本文將先從本案營業秘密侵害行為、存取/接觸權限控管的漏洞出發，接著探討應如何從控管員工的接觸/存取權限以強化營業秘密的保護，最後從落實營業秘密管理的面向，彙整本案受法院判決肯定之營業秘密保護措施及可進一步強化之配套，期給予我國企業營業秘密管理的省思。 貳、事件概要 中國大陸籍的被告Y，於2006年4月進入工具機大廠山崎Mazak（以下簡稱原告公司）任職，於2011年8月轉調連結業務部門與研發部門的業務技術部，於2012年3月因獲得其他公司聘書而提出離職申請，預定離職日為同年4月20日。 檢察官於一審的起訴內容提到，被告Y在無業務需求的狀況下，將三萬件以上的設計圖面等由公司內部伺服器下載至私人硬碟中，更於提出離職的當月，下載約一萬件與轉職企業相關機種的設計圖面等技術資料。雖然被告Y辯稱取得該等資料的目的在於工作上的學習需求，但根據被告Y與其中國大陸友人的往來訊息可知被告Y亟欲脫手所取得的技術資料以換取現金。 原告公司在本案當時，對技術資料的權限控管為將技術資料儲存在公司內部伺服器的資料夾內，僅業務上有需要的員工才能進行存取、下載，此外，原告公司配發給員工的業務用電腦亦設定有員工個人的帳號、密碼來進行認證，並藉由IP位址來辨識存取網路資料的員工所屬部門及該員工的存取權限。有關前述IP位址的分配，為一個部門配發255個IP位址對應255台電腦，當一部門未達255台電腦時，將會有未被電腦對應的IP位址存在，被告Y便是將自己電腦的IP位址切換成未被電腦對應的IP位址，再進行檔案的存取與複製。經由上述一連串的證據與事實證明，一審法院認定被告Y以不當得利為目的而複製（取得）原告公司的營業秘密，處以拘役兩年、併科罰金50萬日幣的判決。 參、判決評析 從本案可知，原告為保護其營業秘密，針對存取/接觸營業秘密者設有相關限制管理。亦即，藉由IP位址辨識存取網路資料的員工所屬部門及存取權限，再透過存取權限的帳號、密碼進行認證管理，該種管理方式立意良好，但在實施時，卻因為有未被電腦對應的IP位址存在，而讓被告Y取巧以切換IP位址的方式逾越權限接觸並取得原告公司的營業秘密。此外，雖然原告公司有留存電腦log紀錄，因而最後能證明被告Y曾進行六千次以上的資料存取，但若能在事前做好防備，強化管理措施，例如禁止濫用IP位址越權存取或限定存取次數等方式，增加意圖竊取營業秘密者的取得困難，相信能更遏阻潛在或食髓知味的不法行為。 以下從本案原告公司對於員工接觸權限的控管為啟發，例示限制員工存取/接觸營業秘密，可採取的強化對策。 一、適當賦予一定範圍之存取/接觸權。 例如在企業的研發單位，可依專案或產品線而拆分成多個範圍，依據範圍設定可存取/接觸的權限，藉此可避免出現如本案中，僅限定存取/接觸權、卻未區分範圍，導致一人手持帳號密碼便可通行無阻存取/接觸全部資料，造成外洩時損害程度的提高。 二、在上述對策一的基礎上，於資訊系統中註冊存取/接觸權者的帳號。 除了落實一帳號一密碼的原則，針對單一帳號的存取/接觸權限來限制其可閱覽、存取的資料範圍或內容外，若是員工有離職、轉調等情況時，亦要配合以刪除ID、更改存取/接觸權限的方式來應對，避免如本案因作業方便而導致有空的IP位址等開後門的情況，而造成營業秘密管理功虧一簣。 三、以區分保管來限制對營業秘密的存取/接觸權限。 區分保管可大分為「空間分離保管」以及「資料區分保管」。以空間分離保管為例，可依進出人員區分為訪客可進入的區域、持有門禁卡員工均可進入的區域、僅限定該部門員工才可進入的區域、針對保管高機密性資訊區域，實施指紋等生物認證的門禁管制。而以資料區分保管為例，常見的做法有高機密性文件與一般文件區分保管。 例如在本案中，隸屬於業務技術部的人員，便不應該擁有自由存取/接觸其他部門—研發部門之研發資料的權限，建議企業可透過前述的空間分離保管、資料區分保管，兩種方式雙管齊下，實施跨部門資料存取權限的控管。 四、禁用私人紀錄媒體、落實紀錄媒體的使用及保管。 嚴禁使用外接式的私人紀錄媒體，企業除了須備足員工所需的紀錄媒體之外，更需制訂與落實紀錄媒體的使用及保管措施。在本案中，即因原告公司當時的業務技術部部長（下稱部長Q）發現到部門內的紀錄媒體使用不受控管，導致私人紀錄媒體濫用的現象，便於其轄下部門制定如：建立可攜式紀錄媒體管理清單及使用規定，落實借出/返還管理、以及明訂禁止攜入或使用私人的外接式紀錄媒體的規範等，法院因而認定原告公司已採取合理保密措施。 然而，除了明定紀錄媒體的禁止使用或限制使用等規定外，還應透過週會、組會、課程宣導等方式周知可攜式紀錄媒體的使用規則，同時透過定期稽核確保該使用規則的確實執行，避免徒有管理規範卻未落實控管。 肆、結論 本案原告公司雖明定營業秘密相關的管理規定，例如權限設定、禁用私人紀錄媒體、公司紀錄媒體使用及保管等各種管理措施，而在本案獲得勝訴判決。但除了管理措施有可強化之處外，主要的原因仍發生於管理機制於實際運作上未嚴格落實，而有部門員工長期持有企業配置的硬碟與USB隨身碟而未歸還，甚或違反禁止使用私人可攜式紀錄媒體的規定，使用私人硬碟等的狀況，造成被告Y有機可乘使用私人硬碟儲存原告公司上萬筆設計圖面等資料。 從此可知，即便企業已建立各種營業秘密相關的管理措施，仍須定期追蹤掌握管理機制的落實，例如定期內部檢視和外部稽核、不定期抽查員工電腦使用紀錄等，確保營業秘密的有效管理。同時間，企業亦應隨時預警任何不符規定的異常警報，透過log異常行為的警示設定，提早發現問題並採取證據保全措施，將營業秘密外洩風險或損害降至最低。 企業歷經營業秘密的盤點、分級、達成管理措施共識，到形成各部門遵循的管理制度等繁複流程，始確認營業秘密保護標的及合法合理的管理措施，若是未落實執行管理，除了增加營業秘密外洩的風險，於後續訴訟階段也難以處於有利舉證的立場。所謂魔鬼藏在細節裡，無論是何種對策，確實落實而不流於形式，更是保護營業秘密的不二法則。 本文同步刊登於TIPS網站（http://www.tips.org.tw） [1] 名古屋地裁平成26年8月20日判決。 [2] 2011年日本《不正競爭防止法》第21條第1項第3款。 [3] 2013年我國《營業秘密法》第13條之1第1項第3款。